Authenticator auf neuem Handy: Codes sicher übertragen

Warum können Codes beim Handywechsel verloren gehen?

Eine Authenticator-App erzeugt Einmalcodes für die Anmeldung. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt solche Apps als Software, die Einmalkennwörter zeit- oder ereignisbasiert stets neu generiert. Dafür speichert die App für jedes Konto ein Geheimnis, das auch der Dienst kennt.

Wo dieses Geheimnis liegt, hängt von der App und ihren Einstellungen ab. Google Authenticator zum Beispiel speichert die Codes nur auf dem Gerät, wenn du die App ohne Google-Konto nutzt. Andere Geräte haben sie dann nicht, auch nicht dein neues Handy.

Fehlt der zweite Faktor oder geht er kaputt, verlierst du laut BSI in der Regel den Zugang zum Dienst. Das BSI rät deshalb, wenn möglich mehrere zweite Faktoren zu hinterlegen. Der Handywechsel ist ein guter Anlass, das nachzuholen. Welche Verfahren sich als Ergänzung eignen, vergleicht SMS, App oder Passkey: welcher zusätzliche Kontoschutz passt?.

Was erledigst du, bevor du etwas überträgst?

Solange das alte Handy funktioniert, stehen dir alle Wege offen. Bereite den Wechsel deshalb vor:

1. Öffne die Authenticator-App auf dem alten Handy und schreib auf, für welche Konten sie Codes erzeugt. Die Namen genügen, die Codes selbst brauchst du nicht.
2. Prüfe in den Einstellungen der App, ob sie eine Sicherung oder Synchronisierung nutzt und mit welchem Konto.
3. Suche für deine wichtigsten Konten die Wiederherstellungscodes heraus. Das BSI rät, zu prüfen, wie der Wiederherstellungsmechanismus eines Dienstes funktioniert, etwa über gespeicherte Backup-Codes.
4. Kontrolliere, ob Telefonnummer und E-Mail-Adresse für die Kontowiederherstellung noch stimmen.
5. Lade das alte Handy auf und lass es in Reichweite, bis alles erledigt ist.

Wie du solche Codes so ablegst, dass du sie im Notfall auch wiederfindest, zeigt Wiederherstellungscodes sicher ablegen und wiederfinden.

Welcher Übertragungsweg passt zu deiner App?

Die Wege lassen sich kombinieren. Kommt bei einer Sicherung ein Konto nicht mit, richtest du nur dieses eine neu ein.

Wie überträgst du Google Authenticator und Microsoft Authenticator?

Google Authenticator

Nutzt du Google Authenticator mit deinem Google-Konto, werden die Codes laut Google synchronisiert. Meldest du dich auf dem neuen Handy mit demselben Konto an, erscheinen sie dort automatisch. Google gibt an, die Codes verschlüsselt zu übertragen und zu speichern, und nennt die Synchronisierung als empfohlene Vorgehensweise.

Hast du beim ersten Start «Ohne Konto verwenden» gewählt, liegen die Codes nur auf dem alten Handy. Dann überträgst du sie per QR-Code von Gerät zu Gerät.

Microsoft Authenticator

Microsoft Authenticator stellt Konten aus einer Cloud-Sicherung wieder her. Laut Microsoft geht das nur auf demselben Gerätetyp: Eine Sicherung vom iPhone lässt sich nicht auf einem Android-Handy wiederherstellen. Auf dem iPhone setzt die Sicherung drei iCloud-Funktionen voraus, die auch auf dem neuen Gerät eingeschaltet sein müssen.

Nach der Wiederherstellung sind laut Microsoft die Einmalcodes von Konten anderer Anbieter, etwa Amazon oder Gmail, wieder verfügbar. Bei Geschäfts-, Schul- oder Unikonten wird nur der Kontoname gesichert; dort meldest du dich erneut an.

Was tust du bei Konten ohne Sicherung?

Nicht jede App kann Codes übertragen, und nicht jedes Konto kommt mit. Dann richtest du die Anmeldung beim Dienst selbst neu ein, solange das alte Handy noch Codes erzeugt.

1. Melde dich beim Dienst an und bestätige mit einem Code vom alten Handy.
2. Öffne die Sicherheitseinstellungen des Kontos und füge die Authenticator-App auf dem neuen Handy hinzu. Folge dabei den Hinweisen des Dienstes.
3. Bestätige die Einrichtung mit einem Code vom neuen Handy.
4. Entferne erst danach das alte Gerät aus dem Konto.

Diese Reihenfolge beschreibt zum Beispiel das österreichische Finanzministerium für FinanzOnline: zuerst das neue Gerät registrieren, dann das alte entfernen. Gehst du umgekehrt vor, stehst du womöglich eine Zeit lang ohne gültigen zweiten Faktor da.

Behörden, Banken und Arbeitgeber nutzen teils eigene Apps oder Verfahren. Lies vor dem Wechsel deren Hinweise zum Gerätewechsel und plane bei Bedarf Zeit für eine neue Freischaltung ein.

Wann darfst du das alte Handy zurücksetzen?

Erst wenn du dich bei jedem Konto auf deiner Liste mit einem Code vom neuen Handy angemeldet hast. Lass das alte Gerät danach ruhig noch einige Tage liegen, falls ein selten genutztes Konto auftaucht, das du übersehen hast.

Vorsicht bei synchronisierten Codes: Löschst du in Google Authenticator einen Code, der mit dem Google-Konto synchronisiert ist, wird er laut Google auf allen Geräten gelöscht. Entferne deshalb keine einzelnen Einträge auf dem alten Handy, sondern setze das ganze Gerät zurück, wie in Altes Handy weitergeben: erst sichern, dann richtig abmelden beschrieben.

Ist das alte Handy verloren oder gestohlen, sorgst du laut Google sofort dafür, dass niemand an die gespeicherten Codes kommt: Gerät aus der Ferne löschen, es bei synchronisierten Codes aus dem Google-Konto entfernen, sonst die Codes bei jedem Dienst einzeln entfernen. Mehr dazu in Handy verloren: sperren, Ersatzwege nutzen und Kontakte ordnen.

Was gilt in Deutschland, Österreich und der Schweiz?

Für den Umzug der App selbst gelten die Anleitungen der Hersteller. Die zuständigen Stellen der drei Länder geben aber Empfehlungen zur Zwei-Faktor-Anmeldung, und in Österreich ist sie bei FinanzOnline für die Anmeldung mit den FinanzOnline-Zugangsdaten vorgeschrieben.

Hast du bei FinanzOnline keinen Zugriff mehr auf das registrierte Gerät, wählst du «Ich habe keinen Zugriff auf mein registriertes Gerät» und gibst deinen Wiederherstellungscode ein. Fehlen Gerät und Code, verweist das Finanzministerium auf die Anmeldehilfe und die FinanzOnline-Hotline.

Ein Beispiel: Lena zieht ihre Codes um

Fiktives Beispiel: Lena aus Graz bekommt ein neues Handy. Ihre Authenticator-App nutzt sie ohne Konto, die Codes liegen also nur auf dem alten Gerät. Zuerst schreibt sie die acht Kontonamen aus der App auf einen Zettel und sucht ihre Wiederherstellungscodes. Für FinanzOnline findet sie das PDF mit dem Code, für ihr E-Mail-Konto erstellt sie neue Codes.

Dann exportiert Lena die Konten per QR-Code, scannt sie mit dem neuen Handy und testet jedes Konto mit einem frischen Code. Sieben klappen sofort, ein selten genutztes hatte sie beim Export übersehen. Weil das alte Handy noch funktioniert, holt sie das in wenigen Minuten nach. Zurückgesetzt wird das alte Gerät erst nach einer Woche ohne Probleme.